WS Security 认证方式详解

本文参考文档如下：

MSDN 官方详解 ： http://www.microsoft.com/china/MSDN/library/WebServices/WebServices/HowASP.NETWebServicesWork.mspx?mfr=true
WS安全规范说明 : https://www.oasis-open.org/committees/download.php/16782/wss-v1.1-spec-os-UsernameTokenProfile.pdf
WS Security 一些历史信息 ： http://zh.wikipedia.org/wiki/WS-Security
如有不理解，请参考上面三个资源。

WS-Security 所涉及的三个方面：身份验证、签名和加密

1.身份验证

常用的的三种认证方法：

1.1用户名/密码

在Apache CXF中，可以使用如下定义来使用用户名密码认证：

客户端:

<jaxws:client id="xxx" serviceClass="xxxy"
address="xxx">

<jaxws:outInterceptors>
<bean class="org.apache.cxf.ws.security.wss4j.WSS4JOutInterceptor">
<constructor-arg>
<map>
<entry key="action" value="UsernameToken"/>
<entry key="user" value="xxx"/>
<!-- Password_Digest = Base64 ( SHA-1 ( nonce + created + password ) )  -->
<entry key="passwordType" value="PasswordDigest"/>
<entry key="passwordCallbackRef" value-ref="myPasswordCallback"/>
</map>
</constructor-arg>
</bean>
</jaxws:outInterceptors>

</jaxws:client>

　　以上的passwordType值为PasswordText时，则密码使用明文传输；为PasswordDigest时，则Password_Digest = Base64 ( SHA-1 ( nonce + created + password ) )，

比如传输的SOAP报文为：

<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
<soap:Header>
<wsse:Security
xmlns:wsse="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-secext-1.0.xsd"
xmlns:wsu="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-wssecurity-utility-1.0.xsd"
soap:mustUnderstand="1">
<wsse:UsernameToken wsu:Id="UsernameToken-1">
<wsse:Username>xxx</wsse:Username>
<wsse:Password
Type="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-username-token-profile-1.0#PasswordDigest">4t7Q2C0DnV21ie6ngsv6CwZ3vVw=</wsse:Password>
<wsse:Nonce
EncodingType="http://docs.oasis-open.org/wss/2004/01/oasis-200401-wss-soap-message-security-1.0#Base64Binary">R+6n+Z5L6FaG8IqeDrLGXw==</wsse:Nonce>
<wsu:Created>2014-04-21T09:56:51.361Z</wsu:Created>
</wsse:UsernameToken>
</wsse:Security>
</soap:Header>
<soap:Body>
......
</soap:Body>
</soap:Envelope>

　　则上面计算的Password_Digest的参数则来源于wsse:Security下面的各个节点参数值。

使用加密的密码传输，则客户端与服务端都需要指定一个passwordCallbackRef，该实现类继承CallbackHandler，下面做个示例

public class ClientMyPasswordCallback implements CallbackHandler {

private static final Log log = LogFactory.getLog(MyPasswordCallback.class);

/* (non-Javadoc)
* @see javax.security.auth.callback.CallbackHandler#handle(javax.security.auth.callback.Callback[])
*/
public void handle(Callback[] callbacks) throws IOException,
UnsupportedCallbackException {

WSPasswordCallback pc = (WSPasswordCallback) callbacks[0];

pc.setPassword("xxx");

}

}

　　服务端则使用：

public class ServerMyPasswordCallback implements CallbackHandler {

private static final Log log = LogFactory.getLog(MyPasswordCallback.class);

/* (non-Javadoc)
* @see javax.security.auth.callback.CallbackHandler#handle(javax.security.auth.callback.Callback[])
*/
public void handle(Callback[] callbacks) throws IOException,
UnsupportedCallbackException {

WSPasswordCallback pc = (WSPasswordCallback) callbacks[0];

//通过数据库得到该用户名的密码，这里略去该过程
String password = getPwdByUname(pc.getIdentifier());

pc.setPassword(password );//直接设置从数据库得到的密码，WSS4J自动匹配该值与客户端传入的值，不需要调用pc.getPassword();因为它总是返回null

}

}

　　服务端的拦截器中匹配密码方式是自动的，不需要从pc.getPassword()得到密码自己匹配，由于加密算法比较麻烦，所以省去这一步应该是比较好的设计。

X.509 证书与[b]Kerberos则参考:[/b]

[b]http://www.microsoft.com/china/MSDN/library/WebServices/WebServices/HowASP.NETWebServicesWork.mspx?mfr=true[/b]

文章里说明很清楚，不再重复。

2.签名

签名可以防止消息在传输中被篡改进行重复攻击等，可使用私钥对需要的部分进行签名，比如在上节的<身份认证>中，如果消息被截获，可导致重复攻击，

需要对请求设置过期时间(wsu:Timestamp->[b]wsu:Expires[/b])并签名。

3.消息包数据加密

若传输的消息属于高安全级别，则需要使用X.509 证书对消息加密，即客户端使用服务端的公钥加密，服务端通过私钥解包，消息包只能在知道服务端私钥情况下才能解开。

要对全部SOAP包加密，可启用SSL(通常为HTTPS)。